6
Allgemeine Frage zu Freigaben und Rechten in einem AD
Sicherheiten bei Netzwerkfreigaben einstellen per Freigaberechte oder per Sicherheitsrechte?
Hallo Gemeinde,
wie oben geschrieben interessiert mich der Punkt der "richtigen" Freigabemöglichkeit.
Zur Zeit halte ich es so, das ich Freigaben auf dem Server (W2k3 SBS) mit in den Freigabeoptionen mit Vollzugriff laufen habe.
Alle User des AD haben das Recht "Auflisten".
Für die jeweiligen Gruppen stelle ich alles über die Sicherheitsrechte ein.
Ist jemand dem AD nicht bekannt sieht er gar nichts.
Das ist für mich die logischste Lösung, da ich in Freigaben nicht wirklich detailiert einstellen kann....
Wie seht ihr das? Wie macht ihr es bei euren Netzen?
Danke im Voraus!
Gruß Sam
Hallo Gemeinde,
wie oben geschrieben interessiert mich der Punkt der "richtigen" Freigabemöglichkeit.
Zur Zeit halte ich es so, das ich Freigaben auf dem Server (W2k3 SBS) mit in den Freigabeoptionen mit Vollzugriff laufen habe.
Alle User des AD haben das Recht "Auflisten".
Für die jeweiligen Gruppen stelle ich alles über die Sicherheitsrechte ein.
Ist jemand dem AD nicht bekannt sieht er gar nichts.
Das ist für mich die logischste Lösung, da ich in Freigaben nicht wirklich detailiert einstellen kann....
Wie seht ihr das? Wie macht ihr es bei euren Netzen?
Danke im Voraus!
Gruß Sam
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 127019
Url: https://administrator.de/forum/allgemeine-frage-zu-freigaben-und-rechten-in-einem-ad-127019.html
Ausgedruckt am: 22.12.2024 um 19:12 Uhr
6 Kommentare
Neuester Kommentar
Hallo Sam,
du kannst mit eine Freigabe sehr genau die NTFS Rechte vergeben. Was machst du zb. wenn dein Chef einen Ordner haben möchte, der nur für ihn und der PA zugänglich sein soll?
Hier bietet es sich an, die User in OU (Organisationseinheiten/Benutzergruppen) aufzuteilen, wo du nun ganz genau bestimmte Rechte vergeben kannst.
Wie du siehst ist das ein wirklich sehr komplexes Thema und würde dir empfehlen in div Büchern mal nachzulesen.
Für den Anfang kannst du ja mal hier nach schauen.
Besten Gruß
Carsten
du kannst mit eine Freigabe sehr genau die NTFS Rechte vergeben. Was machst du zb. wenn dein Chef einen Ordner haben möchte, der nur für ihn und der PA zugänglich sein soll?
Hier bietet es sich an, die User in OU (Organisationseinheiten/Benutzergruppen) aufzuteilen, wo du nun ganz genau bestimmte Rechte vergeben kannst.
Wie du siehst ist das ein wirklich sehr komplexes Thema und würde dir empfehlen in div Büchern mal nachzulesen.
Für den Anfang kannst du ja mal hier nach schauen.
Besten Gruß
Carsten
Hallo Carsten,
danke für die schnelle Antwort.
Zu deiner Frage:
Da ich z.B.: \\Server\Archiv\ als Freigabe - Vollzugriff - Gruppe alle MA; NTFS - Auflisten - Gruppe alle MA habe würde ich folgendes tun.
Die PA ist für mich eine Sicherheitsgruppe im AD. Der Chef ist auch in einer Sicherheitsgruppe (Von mir aus Chefetage)
Nun würde ich die NTFS Rechte für die Sicherheitsgruppe PA im entsprechnenden Ordner anpassen (z.B. ändern) und seperat für den Chef. bzw. dem Chef noch eine Spezielle SG und den Ordner für diesen dann anpassen.
Wenn der Chef dann noch will das der Ordner nicht mal aufgelistet werden darf würde ich noch eine SG einrichten in der alle Nicht PA Gruppen sind, und explizit verweigern.
In einer Freigabe habe ich doch nur die Möglichkeit
lesen - ändern - vollzugriff
Den Rest mache ich doch grundsätzlich über die NTFS Rechte.... Nichtoder?!
So habe ich das oben auf jeden Fall gemeind.
Gruß Sam
danke für die schnelle Antwort.
Zu deiner Frage:
Da ich z.B.: \\Server\Archiv\ als Freigabe - Vollzugriff - Gruppe alle MA; NTFS - Auflisten - Gruppe alle MA habe würde ich folgendes tun.
Die PA ist für mich eine Sicherheitsgruppe im AD. Der Chef ist auch in einer Sicherheitsgruppe (Von mir aus Chefetage)
Nun würde ich die NTFS Rechte für die Sicherheitsgruppe PA im entsprechnenden Ordner anpassen (z.B. ändern) und seperat für den Chef. bzw. dem Chef noch eine Spezielle SG und den Ordner für diesen dann anpassen.
Wenn der Chef dann noch will das der Ordner nicht mal aufgelistet werden darf würde ich noch eine SG einrichten in der alle Nicht PA Gruppen sind, und explizit verweigern.
In einer Freigabe habe ich doch nur die Möglichkeit
lesen - ändern - vollzugriff
Den Rest mache ich doch grundsätzlich über die NTFS Rechte.... Nichtoder?!
So habe ich das oben auf jeden Fall gemeind.
Gruß Sam
Grundstruktur mache ich immer so:
- Auf dem Server nur eine einzige Freigabe (\\server\share$) - die wiederum wird per DFS veröffentlicht (\\domain\share)
- Freigabeberechtigung: Jeder: Lesen, Ändern (Niemals Vollzugriff - Wichtig!)
- Sicherheitsberechtigung: Alles raus außer SYSTEM und Domänen-Administratoren
Danach fange ich da drin an die Ordner aufzubauen und zwar immer so, dass ich das Attribut "Verweigern" niemals benutzen muss.
Grüße
Max
- Auf dem Server nur eine einzige Freigabe (\\server\share$) - die wiederum wird per DFS veröffentlicht (\\domain\share)
- Freigabeberechtigung: Jeder: Lesen, Ändern (Niemals Vollzugriff - Wichtig!)
- Sicherheitsberechtigung: Alles raus außer SYSTEM und Domänen-Administratoren
Danach fange ich da drin an die Ordner aufzubauen und zwar immer so, dass ich das Attribut "Verweigern" niemals benutzen muss.
Grüße
Max
Hallo Max,
DFS sagt mir noch nichts, werde das gleich mal Googlen.
Worin besteht der Unterschied zwischen Ändern und Vollzugriff bei der Freigabe?
Wie würdest du denn die Aufgabe von Carsten lösen?
Angenommen ich habe folgendes:
- Freigabe
| - Für alle 1
| - Für alle 2
| - PA & Chef
Wenn das NTFS Recht im Root der Freigabe nur Admins/System zulässt sieht der Client ja gar nichts.
Daher die Auflisten Option.
Da ich das nicht auf dem Ordner Chef nicht setzen darf... Setzt du das dann für Für alle 1 und 2 seperat?
Oder würdest du die Ordner eher so aufbauen?
- Freigabe <Freigabe alle ändern
| - Für alle < NTFS Auflisten alle
| - Für alle 1 < geerbt
| - Für alle 2 < geerbt
| - PA & Chef < NTFS nur PA & Chef
Gruß Sam
DFS sagt mir noch nichts, werde das gleich mal Googlen.
Worin besteht der Unterschied zwischen Ändern und Vollzugriff bei der Freigabe?
Wie würdest du denn die Aufgabe von Carsten lösen?
Angenommen ich habe folgendes:
- Freigabe
| - Für alle 1
| - Für alle 2
| - PA & Chef
Wenn das NTFS Recht im Root der Freigabe nur Admins/System zulässt sieht der Client ja gar nichts.
Daher die Auflisten Option.
Da ich das nicht auf dem Ordner Chef nicht setzen darf... Setzt du das dann für Für alle 1 und 2 seperat?
Oder würdest du die Ordner eher so aufbauen?
- Freigabe <Freigabe alle ändern
| - Für alle < NTFS Auflisten alle
| - Für alle 1 < geerbt
| - Für alle 2 < geerbt
| - PA & Chef < NTFS nur PA & Chef
Gruß Sam
DFS sagt mir noch nichts
Das erspart dir nur eine Menge ärger falls sich mal irgendwann der Name eines Fileservers ändert
Ändern und Vollzugriff bei der Freigabe?
Bei Vollzugriff können dir die User auf dem Kopf rumtanzen, obwohl es in den NTFS-Berechtigungen nicht so aussieht.
Da kann man stundenlang Suchen wieso das Sicherheitskonzept nicht klappt...
sieht der Client ja gar nichts.
Stimmt, das ist aus meiner Sicht auch gut so.
Bei dem Beispiel von Carsten würde ich für Chef & PA einfach ein Netzlaufwerk verbinden (Die Struktur wäre ähnlich der in deinem zweiten Ansatz).
Es gibt aber auch noch einen anderen Trick:
Dazu brauchst du folgende Struktur:
\\domain\share\common\Nur Für Cheffe
Den common Ordner verbindest du bei allen Mitarbeitern als Netzlaufwerk.
Jetzt gehst du bei den NTFS-Rechten über Erweitert, fügst "Alle Authentifizierten Benutzer" hinzu und wählst bei "Übernehmen für": "Nur diesen Ordner", dann hakst du alles an was ein "lesen" enthält.
Jetzt nimmst du dir den Ordner "Nur Für Cheffe" und fügst dort Lesen, Ändern Rechte für die Gruppe mit Chef und PA hinzu.
Damit das ganze jetzt funktioniert musst du zum Schluss noch ABE auf dem Server installieren:
http://www.microsoft.com/downloads/details.aspx?FamilyID=04A563D9-78D9- ...
Somit können alle Mitarbeiter den Ordner Common auflisten (und ggf. auf Unterordner zugreifen), aber den Chef Ordner sehen sie erst garnicht.
Grüße
Max
Hallo Max,
das ist doch mal eine Aussage
Ich denke ich werde mir mal die Freigaben ansehen - in Bezug auf Vollzugriff / Ändern.
Vielen Dank für die Infos!
Werde mich nun mal mit DFS und ABE beschäftigen....
Gruß Sam
das ist doch mal eine Aussage
Ich denke ich werde mir mal die Freigaben ansehen - in Bezug auf Vollzugriff / Ändern.
Vielen Dank für die Infos!
Werde mich nun mal mit DFS und ABE beschäftigen....
Gruß Sam
